第3章 Record Encryption フィルターの設定

このセクションでは、事前に準備された KMS を使用して Record Encryption フィルターを設定する方法の概要を説明します。サブセクションでは詳細に説明します。

前提条件

Streams for Apache Kafka Proxy のインスタンス。
Streams for Apache Kafka Proxy のデプロイは、OpenShift での Streams for Apache Kafka Proxy のデプロイと管理ガイドを参照してください。
フィルターで使用する KMS が準備されており、各トピックのレコードを暗号化するための KEK が設定されている。

手順

必要に応じて、サポートされている KMS のプラグインを設定します。
設定された KMS プラグインを参照するフィルター設定を作成します。
「フィルターの設定」を参照してください。
フィルター設定を適用します。
- KafkaProtocolFilter リソースを使用する OpenShift デプロイメント。「KafkaProtocolFilter リソースの例」を参照してください。

3.1. HashiCorp Vault プラグインの設定
リンクのコピー

HashiCorp Vault の場合、フィルターで使用される KMS 設定は次のようになります。KMS セットアップの Vault トークンと Vault Transit Engine URL の値を使用します。

kms: VaultKmsService


kmsConfig:
  vaultTransitEngineUrl: <vault transit engine service url>


  tls:


    # ...
  vaultToken:


    passwordFile: /opt/vault/token

TLS クライアント証明書は、PKCS#12 または JKS キーストアファイルを使用して指定できます。

PKCS#12 キーストアファイルを使用した TLS クライアント証明書の設定例

key:
  storeFile: /opt/cert/server.p12


  storeType: PKCS12


  storePassword:


    passwordFile: /opt/cert/store.password
  keyPassword:


    passwordFile: /opt/cert/key.password

TLS クライアントのトラストアンカーのセットは、PKCS#12 または JKS キーストアファイルを使用して指定できます。

PKCS#12 キーストアファイルを使用した TLS クライアント信頼の変更設定の例

trust:
  storeFile: /opt/cert/server.p12


  storeType: PKCS12


  storePassword:


    passwordFile: /opt/cert/store.password